Lo que necesitas saber, sin rodeos: quién está obligado, qué exige cada norma, cuánto duelen las multas y por dónde empezar.
Hay una frase que ya circula en los departamentos de cumplimiento de media Europa: «esperar a que se publique la ley no te protege de la ley». Suena contradictorio, pero no lo es. Aunque España todavía no ha terminado de transponer la Directiva NIS2 a su ordenamiento jurídico, las obligaciones de fondo llevan en vigor desde diciembre de 2022.
Traducido a la práctica: si tu empresa opera en un sector crítico, o simplemente factura o presta servicios a alguien que sí lo hace, el reloj ya está corriendo, tengas o no la ley nacional publicada en el BOE.
¿Qué es la Directiva NIS2 y a quién obliga?
En una frase: NIS2 es la Directiva (UE) 2022/2555, la norma europea que obliga a empresas medianas y grandes de 18 sectores críticos a implantar medidas de ciberseguridad y notificar los incidentes graves en plazos muy ajustados.
La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la antigua NIS de 2016 y amplía radicalmente el número de empresas obligadas. Ya no habla solo de energía o transporte: cubre 18 sectores repartidos en dos anexos: uno de «alta criticidad» (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, espacio…) y otro de sectores igualmente importantes (fabricación, alimentación, gestión de residuos, servicios digitales, químicas…).
¿A quién afecta exactamente? La regla general es sencilla: empresas medianas o grandes (50 empleados o más, o más de 10 millones de euros de facturación o balance anual) que operen en alguno de esos 18 sectores. El Gobierno español calcula que esto deja dentro del ámbito directo a más de 5.700 empresas, y eso sin contar el efecto cadena: si tu cliente es una entidad esencial, es muy probable que te exija cumplir requisitos NIS2 aunque tu empresa no llegue al umbral por sí sola, simplemente porque formas parte de su cadena de suministro.
La norma distingue entre entidades esenciales (supervisión proactiva, con auditorías e inspecciones sin necesidad de que ocurra nada) y entidades importantes (supervisión reactiva, que actúa tras un incidente o una denuncia). La diferencia no está en lo que hay que hacer (las obligaciones de gestión de riesgo son las mismas para ambas, sino en cómo te vigilan y en el tope de la multa.
Y aquí las cifras son serias. El artículo 34 de la directiva fija sanciones de hasta 10 millones de euros o el 2% de la facturación mundial anual para entidades esenciales (la cantidad que sea mayor), y hasta 7 millones o el 1,4% para las importantes. A eso se suman consecuencias no económicas nada desdeñables: instrucciones vinculantes, publicidad del incumplimiento y, en casos de negligencia grave, la inhabilitación temporal de directivos.
En cuanto al contenido concreto, NIS2 obliga, entre otras cosas, a:
- Implementar políticas de análisis y gestión de riesgos, con revisión periódica.
- Tener un plan de respuesta y continuidad ante incidentes, probado y no solo escrito.
- Auditar y controlar la cadena de suministro, incluidos proveedores tecnológicos.
- Notificar los incidentes graves en plazos muy ajustados: una alerta temprana en 24 horas, una notificación más completa en 72 horas, y un informe final en el plazo de un mes.
- Formar a la dirección, que responde personalmente del cumplimiento y ya no puede delegarlo sin más al departamento de IT.
¿Cuándo entra en vigor la ley española de NIS2?
Aquí conviene ser preciso, porque circula bastante confusión. El plazo europeo para transponer NIS2 venció el 17 de octubre de 2024, y España no llegó a tiempo. La Comisión Europea abrió un procedimiento de infracción en noviembre de ese mismo año y, en mayo de 2025, remitió un dictamen motivado. El vehículo legislativo elegido por el Gobierno (el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea un nuevo Centro Nacional de Ciberseguridad) fue aprobado por el Consejo de Ministros en enero de 2025, pero a lo largo de 2026 ha seguido su trámite parlamentario sin cerrarse, lo que ha llevado a la Comisión a escalar el expediente e incluir a España entre los países remitidos al Tribunal de Justicia de la UE.
¿Qué significa esto para tu empresa? Que el retraso es un problema entre España y Bruselas, no una excusa para esperar. Las obligaciones materiales de la directiva son exigibles desde 2023 y los supervisores sectoriales (INCIBE, CCN, y los que designe cada ministerio) ya están activos. Cuando la ley se publique previsiblemente no habrá un periodo transitorio largo, así que quien empiece a prepararse el día del BOE llegará tarde.
Texto oficial: Directiva (UE) 2022/2555 en EUR-Lex
¿Y si mi empresa también debe cumplir DORA?
Si tu empresa es una fintech o un proveedor tecnológico del sector financiero, es posible que, además de NIS2, te aplique también el Reglamento DORA, específico para el sector financiero. En ANOOK trabajamos el cumplimiento de NIS2; si necesitas cobertura DORA, te recomendamos apoyarte en un especialista de ese ámbito.
Guía práctica: por dónde empezar a cumplir NIS2
Más allá de la teoría normativa, cumplir NIS2 es, sobre todo, un ejercicio de orden interno. Estos son los pasos que marcan la diferencia entre una empresa preparada y una que descubre sus lagunas cuando ya es tarde:
1. Diagnóstico exhaustivo de activos digitales. Antes de nada, hay que saber qué se tiene: sistemas, datos, accesos y quién los controla. Sin este mapa, cualquier plan de cumplimiento se construye sobre arena.
2. Análisis de riesgos en toda la cadena de valor, incluidos los proveedores tecnológicos externos. La cadena de suministro es, precisamente, uno de los puntos que la norma refuerza con más insistencia.
3. Documentación real, no de escaparate. Políticas, procedimientos, planes de continuidad y un historial que demuestre que la seguridad es una práctica consolidada, no un documento redactado la semana antes de la inspección.
4. Plan de respuesta a incidentes con plazos interiorizados. Detectar, analizar y notificar en horas (no en días) exige simulacros previos, no solo un protocolo en un cajón.
5. Formación continua del equipo. La tecnología puede blindarse; las personas, no tanto. Reconocer un intento de phishing o entender por qué no se deben reutilizar contraseñas sigue siendo, a día de hoy, una de las defensas más eficaces y más baratas.
6. Apoyo externo si hace falta. Si el equipo interno no tiene la experiencia necesaria, subcontratar a especialistas no es un lujo, es una cuestión de supervivencia regulatoria.
Preguntas frecuentes
¿Qué empresas están obligadas a cumplir NIS2 en España?
Empresas medianas o grandes (50+ empleados o más de 10M€ de facturación/balance) que operen en alguno de los 18 sectores de los Anexos I y II de la directiva, y también empresas más pequeñas que formen parte de la cadena de suministro de una entidad esencial.
¿Cuándo entra en vigor la ley española de NIS2?
El plazo europeo venció el 17 de octubre de 2024 y España no lo cumplió. El anteproyecto de ley sigue en tramitación parlamentaria en 2026, pero las obligaciones de fondo de la directiva ya son exigibles desde 2023.
¿Qué diferencia hay entre NIS2 y DORA?
NIS2 es una directiva horizontal para 18 sectores críticos que necesita transposición nacional. DORA es un reglamento vertical, específico del sector financiero, de aplicación directa desde enero de 2025 sin necesidad de ley nacional.
La conclusión que importa
NIS2 no es un proyecto puntual que se cierra con un informe. Es un cambio de paradigma empresarial que exige tiempo, presupuesto y, sobre todo, un compromiso visible desde la dirección, porque la norma hace responsables a los directivos de forma personal. La inversión en ciberseguridad y resiliencia digital que se haga hoy es, literalmente, lo que en 2026 y años sucesivos puede marcar la diferencia entre una sanción asumible y el colapso operativo de la empresa tras un ciberataque.
📩 ¿Quieres saber si tu empresa está obligada a cumplir NIS2? Contacta con nosotros
Fuentes: Directiva (UE) 2022/2555 (NIS2); Comisión Europea (procedimientos de infracción y dictámenes motivados 2025-2026); Departamento de Seguridad Nacional; Red Seguridad.